データセンターがランサムウェアで停止｜ブロードバンドタワー事件が示すIDC依存リスク
secureインシデント概要
ブロードバンドタワー株式会社（東証プライム：3776）は、東京・大阪にデータセンターを運営し、クラウドサービス「c9 Flex」を展開するIDC事業者だ。2025年12月上旬、同社が運用する仮想サーバへの外部からの不正アクセスが発覚。翌12月12日に東証適時開示として公表し、12月19日に中間報告、2026年2月24日に最終調査報告を公表した。
攻撃のタイムライン
- 2025年12月5〜8日c9 Flex VシリーズのVMを標的に不正アクセスが進行。侵入した仮想サーバを踏み台に内部の運用サーバへも横展開
- 2025年12月6日不正アクセスの形跡を検出・初動対応開始
- 2025年12月12日東証適時開示・外部への公表。「顧客情報へのアクセス痕跡を確認中」と発表
- 2025年12月中旬ハッカー「ByteToBreach」がフォーラムで犯行声明。「顧客データ・従業員情報・ソースコードを取得」と主張
- 2025年12月19日中間報告公表。c9 Flex VシリーズVMの既知脆弱性が侵入口と特定
- 2026年2月24日最終調査報告公表。侵害サーバ6台（c9 Flex V系3台＋運用サーバ3台）確認。対象サーバは復旧せず新規構築で再稼働
攻撃の手口
侵入経路は、c9 Flex VシリーズVMに存在した既知の脆弱性だった。パッチが公開されていたにもかかわらず適用が遅れ、攻撃者がその隙を突いた。侵入後は内部ネットワークを横断（ラテラルムーブメント）し、運用管理サーバにも既知の脆弱性を悪用して侵害を拡大。この「既知脆弱性×パッチ未適用」という構図は、2024年のランサムウェア被害（KADOKAWA/ドワンゴ、アサヒグループ等）と同じパターンだ。
| 項目 | 詳細 |
|---|---|
| 発覚日 | 2025年12月6日 |
| 侵害サーバ数 | 6台（c9 Flex Vシリーズ3台＋運用サーバ3台） |
| 侵入経路 | c9 Flex VシリーズVMの既知脆弱性（パッチ未適用） |
| 攻撃者 | 「ByteToBreach」（ハッキングフォーラムで犯行声明） |
| 窃取主張データ | 顧客情報、従業員情報、システムソースコード |
| DC本体への影響 | DC・ストレージ・社内オペレーションは正常稼働継続 |
| 最終報公表 | 2026年2月24日 |
クラウドサービス停止とテナント企業への連鎖リスク
今回の直接被害は「データセンター全体の停止」ではなく、クラウドサービス上の特定仮想サーバの侵害だった。しかしそれが「軽微」かというと、そうは言い切れない。
ブロードバンドタワーは国内外の企業にホスティングやIaaSを提供しており、侵害されたVMにデータを預けていたテナント企業（利用者企業）は、情報漏洩の被害者になりうる立場に置かれた。攻撃者が「多数ホストを侵害した」と主張している以上、自社のデータが安全だったかどうかは各テナント企業が個別に確認しなければならない事態となった。
テナント企業が直面したリスク
- 預けていた顧客データ・取引先情報が外部に流出した可能性
- 自社が管理する仮想マシンが踏み台として悪用された可能性
- 事業継続計画（BCP）にIDC依存が前提で組み込まれている場合、代替手段がない状況
- インシデント調査・顧客通知対応のコストが突然発生
「クラウドやデータセンターにデータを預けているから安全」という前提は成立しない。IDC事業者自身が攻撃対象になるという視点を持てているかどうかが問われている。
クラウド・IDC依存の盲点
自社でサーバを持たずクラウドやIDCを使うことは、コスト・保守面で合理的な選択だ。しかし依存度が高まるほど、事業者側のセキュリティインシデントが自社のリスクに直結するという構造になる。今回の事件は、その盲点を改めて示した。
盲点①：事業者のパッチ管理は自社でコントロールできない
今回の侵入口は「既知の脆弱性」だった。つまり修正パッチは存在していた。IDC事業者がそれを適時に適用できていれば、防げた可能性が高い。利用者企業（テナント）は事業者のパッチ適用状況を直接コントロールできない。SLAや契約で「セキュリティ管理責任はどこにあるか」を確認しておかないと、被害に遭ってから責任の所在で揉めることになる。
盲点②：「データセンターは止まらない」という思い込み
物理的な耐障害性（二重化電源・冷却・ネットワーク冗長化）が売りのIDCでも、論理的な攻撃（不正アクセス・マルウェア）には別途の対策が必要だ。今回は物理インフラは停止しなかったが、論理レイヤー（仮想マシン・運用サーバ）は侵害された。物理冗長性と論理的なセキュリティは別の話だ。
盲点③：サプライチェーンリスクとしての認識不足
大企業との取引要件でセキュリティ審査を受けている中小企業でも、「クラウド事業者のリスク」まで審査対象とされていないケースは多い。しかし取引先大企業の側からすれば、「中小企業が利用するクラウドが侵害され、そこを踏み台に自社ネットワークに侵入された」というシナリオは十分ありうる。IDC依存はサプライチェーンリスクの一形態だという認識が必要だ。
中小企業への影響
直接的な被害（ブロードバンドタワーのc9 Flexユーザー）に限らず、以下のリスクが中小企業全般に当てはまる。
- 利用中のクラウド/ホスティング事業者が攻撃を受けた場合、保管データが漏洩しうる——バックアップや顧客情報を単一クラウドに集中させているケースは特に注意
- IDCサービス停止時の代替手段がない——「クラウドが使えない」想定のBCPを持っていない企業は事業継続ができなくなる
- テナント責任の曖昧さ——事業者側の脆弱性を悪用された場合でも、自社データの管理責任は利用者側にも問われることがある
- インシデント発覚時の通知義務コスト——個人情報保護法の改正により、漏洩が疑われる時点で監督機関や本人への通知が必要。その対応コストは予算外で発生する
中小企業が今すぐ取るべき対策
「クラウドに任せているから大丈夫」という前提を見直す。必要な対策は高価なものばかりではない。
①利用中のクラウド・ホスティング事業者を棚卸しする
自社が契約しているクラウドサービス・レンタルサーバ・ホスティングをリストアップし、各事業者の「セキュリティ報告ページ」「インシデント通知の仕組み」を確認する。インシデントがあった際に誰から・どのように通知が来るかを把握しておくことが最初のステップだ。
- 【データ分散】重要データを単一クラウドに集中させず、バックアップを別事業者・別リージョンに保持する（例：AWS＋オンプレNAS、または週次で外付けHDDにオフライン保存）
- 【BCP策定】利用クラウドが1〜2週間使えなくなった場合の業務継続手順を文書化する。「手書き・FAX・代替ツール」での暫定運用フローを決めておく
- 【契約確認】SLA・利用規約の「セキュリティインシデント発生時の通知義務」「責任範囲」を確認し、事業者側の責任が明記されているか確認する
- 【パッチ状況確認】IaaSやVPS（仮想サーバ）を自社で管理している場合、OSとミドルウェアのパッチ適用状況を月次で確認する。未適用の既知脆弱性が最大の侵入口になる
- 【アクセスログ取得】クラウド管理コンソールのアクセスログ（AWS CloudTrail等）を有効化し、不審なログインを検出できる状態にする。無料または低コストで設定可能
- 【MFA必須化】クラウドコンソールへのログインには必ず多要素認証（MFA）を設定する。管理者アカウントの単一パスワードは攻撃者の最初のターゲットになる
②インシデント対応の連絡体制を事前に決める
事業者からインシデント通知が来た際に、誰が何をするかが決まっていない企業は対応が後手に回る。「セキュリティ担当者→社長→顧問弁護士または相談窓口への連絡」という最低限のフローを1枚にまとめておくだけで、発生時のパニックを大幅に減らせる。
- 事業者からの通知内容を記録・保存する（スクリーンショット・メール保存）
- 自社が保管していたデータの種類と件数を確認する（個人情報が含まれるか）
- 個人情報が含まれる場合、個人情報保護委員会への報告要否を確認する（3,000件超または要配慮個人情報は原則報告義務）
- 取引先・顧客への通知タイミングと文面を検討する
- 同じ事業者の他サービスも利用していれば、影響範囲を確認する
まとめ：IDC・クラウドは「丸投げ」できない
ブロードバンドタワーへのサイバー攻撃は、IDC事業者自身が標的になりうることを示した。物理的に堅牢なデータセンターでも、論理的な攻撃経路（既知脆弱性の悪用、内部横展開）には別途の防御が必要であり、それはテナント企業にも直接的なリスクとして跳ね返る。
中小企業が取るべき最優先の行動は、「利用中のクラウド・ホスティングのリストアップ」と「バックアップの分散」「クラウド管理コンソールへのMFA設定」の3点だ。いずれも大きなコストをかけずに今日から着手できる。「クラウドに預けているから安心」という前提を一度見直す機会にしてほしい。
参考情報
- ブロードバンドタワー株式会社「当社へのサイバー攻撃に関するお知らせ」（2025年12月12日 東証適時開示）
- ブロードバンドタワー株式会社「当社へのサイバー攻撃に関する調査状況（中間報告）」（2025年12月19日 東証適時開示）
- ブロードバンドタワー株式会社「当社へのサイバー攻撃に関する調査結果と今後の対応について（最終報）」（2026年2月24日 東証適時開示）
- Security NEXT「サイバー攻撃被害が判明、内部情報へアクセスされた痕跡 - BBT」
- 個人情報保護委員会「個人情報の漏えい等の対応について」
- IPA「情報セキュリティ10大脅威2026」（組織向け：サプライチェーン攻撃が2位）
